Nuevas cláusulas contractuales en Protección de datos

Las nuevas cláusulas contractuales tipo que se utilizarán entre los responsables y los encargados del tratamiento

En el verano de 2021, la Comisión de la UE publicó nuevas cláusulas contractuales estándar para la transferencia de datos personales a terceros países. Algo que se ha pasado por alto y quizás se ha olvidado al principio es el hecho de que la Comisión de la UE también ha publicado, al mismo tiempo, cláusulas contractuales tipo para su uso entre los responsables y los encargados del tratamiento (informamos). Se trata más o menos de un modelo de contrato para la tramitación por encargo. El artículo 28 (7) del Reglamento General de Protección de Datos (RGPD) prevé explícitamente la posibilidad de crear ese modelo para la Comisión de la UE.

En la práctica de la protección de datos, estas cláusulas contractuales estándar para su uso entre responsables y encargados del tratamiento, adquirieron una importancia creciente en los meses siguientes. Cada vez más empresas comenzaron a utilizar este nuevo modelo de contrato como cliente o contratista en una tramitación por encargo.

No hay obligación de utilizar

A diferencia de las cláusulas contractuales estándar para la transferencia de datos personales a terceros países, no hay obligación legal de utilizar el nuevo modelo de contrato. Desde el punto de vista jurídico, un contrato de tratamiento por encargo solo tiene que cumplir los requisitos del artículo 28 (2) – (4) del RGPD. Como antes, se puede usar un modelo de contrato creado por el cliente. Las autoridades españolas de control de la protección de datos también han publicado en el pasado modelos de contratos, que todavía pueden emplearse.

Riesgo de confusión

Cuando se encuentran en la práctica las nuevas cláusulas contractuales estándar para su uso entre responsables y encargados del tratamiento, existe inicialmente un riesgo de confusión debido a la terminología.

Es probable que la mayoría de las personas relacionadas con la legislación sobre protección de datos asocien inicialmente el término «cláusulas contractuales tipo» con las más conocidas cláusulas contractuales tipo para la transferencia de datos personales a terceros países.

Después de todo, estas ya existían antes de su revisión en 2021 en 2001 y en otras versiones desde 2004 y 2010. Por lo tanto, si en el futuro se utiliza el término «cláusulas contractuales tipo» o un contrato se encabeza con «cláusulas contractuales tipo», es necesario aclarar primero en caso de duda a cuáles se refiere.

Ventajas y desventajas

La primera ventaja es, por supuesto, la seguridad jurídica que ofrece el uso de este modelo. No hay que temer el reproche de que el modelo de contrato utilizado no cumple los requisitos legales (nota: si se utiliza el modelo de contrato, hay que editar y completar, por supuesto, los anexos I a IV).

Además, el modelo de contrato de la Comisión Europea puede servir de compromiso entre dos partes contratantes que no se pongan de acuerdo sobre un modelo redactado individualmente por una de las dos partes.

Sin embargo, una desventaja puede ser que algunas de las disposiciones del modelo de contrato de la Comisión Europea no se correspondan con los intereses de las partes.

Ejemplos:

• La cláusula 7.1 otorga al encargado del tratamiento la obligación de informar al responsable del tratamiento sin demora indebida, si considera que las instrucciones dadas por el responsable del tratamiento infringen el RGPD u otra legislación de protección de datos aplicable de la Unión o de los Estados miembros. Sin embargo, la cláusula no otorga al contratista el derecho a suspender la instrucción, por ejemplo, a la espera de la confirmación del mandante.
• La cláusula 7.5 obliga al contratista a aplicar «limitaciones específicas y/o salvaguardias adicionales» cuando trate datos personales especialmente sensibles de conformidad con los artículos 9 y 10 del RGPD. Sin embargo, no está claro qué significa esto en términos concretos.
• La cláusula 7.6 regula el derecho a auditorías por parte del cliente en las instalaciones del contratista. Sin embargo, no se acuerda ningún plazo específico de preaviso, ni se exige no perturbar excesivamente las operaciones del contratista, ni se acuerda ninguna disposición sobre la asunción de costes. Tampoco se excluye el uso de auditores externos que tengan una relación de competencia con el contratista.

Conclusión

En consecuencia, es necesario comprobar en cada caso concreto si existen razones para no utilizar el modelo de contrato de la Comisión Europea. Como punto intermedio, es posible escoger solo algunas cláusulas del modelo de contrato de la Comisión Europea e insertarlas en un modelo propio, por lo demás individual. El considerando 5 del modelo de contrato de la Comisión Europea establece explícitamente que las «cláusulas contractuales tipo pueden usarse total o parcialmente». Sin embargo, en este caso, el contrato de CG ya no debe considerarse en su conjunto como «cláusulas contractuales estándar». Esto únicamente es posible si el contenido del modelo de contrato no se modifica en su totalidad.